PT-2025-49339 · WordPress · Wordpress Application Passwords

Rafshanzani Suhada · Publicado 2025-12-06 · Atualizado 2025-12-06 · CVE-2025-13308

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do plugin WordPress Application Passwords até e incluindo a 0.1.3

Descrição O plugin Application Passwords para WordPress é suscetível a Cross-Site Scripting Refletido devido à sanitização inadequada de entrada e escape de saída de URLs fornecidas pelo usuário. Especificamente, o parâmetro reject url é vulnerável. Isso permite que invasores incorporem esquemas de URI javascript: dentro do parâmetro reject url. A exploração bem-sucedida requer enganar um usuário para clicar em um link malicioso, que então executa scripts web arbitrários quando o usuário clica no botão "No, I do not approve of this connection". O endpoint da API envolvido não é mencionado explicitamente. O parâmetro vulnerável é reject url.

Recomendações Atualize o plugin WordPress Application Passwords para uma versão posterior à 0.1.3.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-13308

Produtos afetados

Wordpress Application Passwords

Referências · 8

• https://plugins.trac.wordpress.org/browser/application-passwords/tags/0.1.3/auth-app.js#L61 · Nota
• https://twitter.com/VulmonFeeds/status/1997225090639925266 · Publicação no Twitter
• https://t.me/CVEtracker/38982 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/application-passwords/tags/0.1.3/class.application-passwords.php#L432 · Nota
• https://twitter.com/CVEnew/status/1997189881563316357 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/application-passwords/tags/0.1.3/class.application-passwords.php#L418 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/59fdfdf3-e9fe-44d2-82f4-7a612a51d376?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-13308 · Nota de Segurança